Furucombo đã công bố tiến độ điều tra vụ tấn công và tuyên bố sẽ bồi thường thiệt hại tài sản cho người dùng

Đọc bài viết này mất 7 phút

Lỗ hổng này đã gây thiệt hại tài sản của 22 người dùng Furucombo, tổng trị giá 15 triệu USD.

Vào ngày 28 tháng 2, nền tảng DeFi tổng hợp Furucombo đã bị hack, gây thiệt hại 15 triệu USD. Vào ngày 1 tháng 3, nhóm Furucombo đã giải thích chi tiết về các trường hợp cụ thể của cuộc tấn công, đồng thời tuyên bố rằng tiền của người dùng vẫn an toàn, tin tặc không thể tấn công theo cách tương tự nữa và sẽ bồi thường cho người dùng về những tổn thất tài sản của họ.

Chuyện gì đã xảy ra vậy?

Vào lúc 4:47 chiều UTC ngày 27 tháng 2 năm 2021, Furucombo bị tấn công. Nhóm đã nhanh chóng phát hiện ra vấn đề và Contract tàn tật. Furucombo đã hợp tác chặt chẽ với nhóm bảo mật Dedaub, cũng như một chuyên gia bảo mật nổi tiếng khác, để đảm bảo rằng không có khoản tiền nào của người dùng khác bị mất.

Ai bị ảnh hưởng?

Lỗ hổng này đã gây mất tài sản của 22 người dùng Furucombo (bao gồm 21 tài sản token, với tổng thiệt hại là 15 triệu USD ), các biện pháp hiện đang được thực hiện để bồi thường cho người dùng.

Bước tiếp theo

· Furucombo sẽ tiếp tục hoạt động với Đội ngũ bảo mật hợp tác để phát hiện tin tặc;

· Hợp đồng Furucombo hiện đã an toàn để sử dụng và hợp đồng đại lý và đăng ký sẽ được nâng cấp để giải quyết vấn đề tích hợp nhóm cho vay trong thời gian sớm nhất. Aave V2 Cube sẽ trở lại bình thường sau khi thử nghiệm toàn diện trong tuần này;

· Furucombo vẫn sẽ hợp tác với cảnh sát địa phương để điều tra vụ tấn công của hacker và không loại trừ việc thực hiện hành động pháp lý;

· 2021 Furucombo sẽ trải qua nhiều cuộc kiểm toán bên ngoài trong năm.

Đền bù cho nạn nhân

Chi tiết về các biện pháp bồi thường cụ thể sẽ được công bố trong thời gian sớm nhất. Chúng tôi đang tích cực liên lạc với những người dùng bị ảnh hưởng để đảm bảo tài sản được bồi thường.

Tái tạo kỹ thuật cuộc tấn công

Furucombo dựa trên nhiều thành phần khác nhau. Hợp đồng đại lý là công tắc lập kế hoạch chính, cho phép bất kỳ số lượng thành phần nào được gọi trong cùng một không gian lưu trữ. Các cuộc gọi như vậy có thể được thực hiện thông qua các dịch vụ bên ngoài (chẳng hạn như các khoản vay nhanh Aave).

Các hợp đồng cho phép các đại lý gọi điện (người gọi) và các hợp đồng cho phép các đại lý (các bên được gọi) được đăng ký trong hợp đồng đăng ký. Hợp đồng ủy quyền cho bất kỳ những cuộc gọi như vậy.

Hợp đồng proxy thống nhất người gọi và người được gọi: cùng một cuộc gọi được sử dụng để xác minh đồng thời "Ai ở Furucombo được gọi trong đại lý" và "Ai được gọi trong đại lý Furucombo". Điều này cho phép hợp đồng nhóm cho vay của Aave được ủy quyền: hợp đồng Aave vừa là người gọi hợp lệ vừa là người được gọi hợp lệ.

hợp đồng proxy nhóm và yêu cầu nó khởi tạo hợp đồng tấn công. Vì vị trí lưu trữ của "triển khai" là vị trí lưu trữ hợp đồng đại lý của Furucombo nên nội dung là 0 và quá trình khởi tạo thành công.

Điều này sau đó cho phép kẻ tấn công sử dụng proxy nhóm cho vay Aave V2 để ủy quyền các cuộc gọi đến hợp đồng triển khai của kẻ tấn công, điều này cũng làm tiêu hao thành công những cuộc gọi cho phép người dùng proxy Furucombo tài sản.